Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Rafforzamento delle immagini dei contenitori di Windows

Stai rafforzando le immagini dei contenitori di Windows? Nel corso degli anni, ho collaborato con clienti di tutto il mondo per aiutarli a migrare i carichi di lavoro legacy verso i container, in particolare i carichi di lavoro Windows. Con oltre 20 anni di esperienza, ho visto le organizzazioni dedicare notevoli sforzi e risorse al rafforzamento dei propri server Windows, implementando tutto, dai benchmark CIS alla protezione antivirus in fase di esecuzione per salvaguardare i dati sensibili.

Tuttavia, è emersa una tendenza preoccupante. Man mano che queste macchine virtuali altamente sicure vengono modernizzate in contenitori, molte pratiche critiche di rafforzamento vengono trascurate. Le best practice di sicurezza di Windows, dall'immagine di base (OS) ai servizi Web come IIS, vengono spesso trascurate e la maggior parte dell'attenzione è rivolta esclusivamente alla protezione dell'host del contenitore. È fondamentale riconoscere che, sebbene i container operino in namespace isolati, condividono comunque le primitive del kernel con l'host. Gli aggressori sono in genere più interessati al movimento laterale piuttosto che prendere di mira direttamente l'host del contenitore, il che consente loro di sfruttare le impostazioni di sicurezza deboli del contenitore e accedere a dati sensibili.

L'obiettivo della documentazione è evidenziare alcune impostazioni di sicurezza essenziali da implementare specificamente per i contenitori Windows che ospitano siti Web su IIS. ASP.NET Ci concentreremo su quattro aree chiave:

Inizieremo analizzando il motivo per cui ognuna di queste configurazioni di sicurezza è fondamentale per proteggere i contenitori Windows, esaminando i rischi specifici che attenuano e i vantaggi in termini di sicurezza che offrono. Successivamente, esamineremo uno snippet di codice che dimostra come implementare correttamente queste configurazioni nel Dockerfile, assicurando che il contenitore sia protetto da potenziali minacce. Infine, analizzeremo ogni impostazione in dettaglio, offrendo una spiegazione completa della sua funzione, dell'impatto sulla sicurezza dei container e di come contribuisce a proteggere le applicazioni. Questo approccio non solo vi mostrerà come applicare queste best practice, ma vi fornirà anche le informazioni necessarie per capire perché sono essenziali per mantenere un solido livello di sicurezza negli ambienti containerizzati.

1. Configura le politiche degli account (password o blocco) utilizzando le politiche di sicurezza locali e il registro

Windows Server Core è un'opzione di installazione minima disponibile come parte di [EKS Optimized Windows AMI] (https://docs.aws.amazon.com/eks/latest/userguide/eks-optimized-windows-ami.html). La configurazione delle politiche degli account (password o blocco) utilizzando le politiche di sicurezza locali e il registro rafforza la sicurezza del sistema applicando solide regole di blocco e password. Queste politiche richiedono agli utenti di creare password complesse con una lunghezza e una complessità minime definite, proteggendole dai comuni attacchi relativi alle password.

Impostando una durata massima delle password, agli utenti viene richiesto di aggiornare regolarmente le proprie password, riducendo la probabilità che le credenziali vengano compromesse. Le politiche di blocco aggiungono un ulteriore livello di protezione bloccando temporaneamente gli account dopo un determinato numero di tentativi di accesso falliti, contribuendo a prevenire attacchi di forza bruta. La configurazione di queste impostazioni tramite il registro di Windows consente agli amministratori di applicare queste misure di sicurezza a livello di sistema, garantendo uniformità e conformità in tutta l'organizzazione. L'applicazione di queste policy relative agli account in un contenitore Windows è essenziale per mantenere la coerenza della sicurezza, anche se i contenitori sono spesso effimeri e destinati a carichi di lavoro isolati:

Coerenza della sicurezza

Protezione dagli attacchi di forza bruta

Multi-User Scenari

Contenitori Windows persistenti

Coerenza negli ambienti ibridi

In sintesi, l'applicazione di queste policy relative agli account all'interno dei contenitori Windows garantisce che i contenitori non rappresentino un punto debole della strategia di sicurezza, proteggendo dagli attacchi con password e garantendo la coerenza in tutto l'ambiente.

File Docker:

# Configure account policies for password complexity and lockout
RUN powershell -Command \
      "Write-Output 'Configuring Account Policies (Password/Lockout)...'; \
      NET ACCOUNTS /MINPWLEN:14 /MAXPWAGE:60 /MINPWAGE:14 /LOCKOUTTHRESHOLD:5

Spiegazione:

Questa sezione configura i criteri degli account per le impostazioni di password e blocco tramite il registro di Windows. Queste politiche aiutano a far rispettare la sicurezza controllando i requisiti di password e le soglie di blocco degli account.

Queste impostazioni aiutano a migliorare la sicurezza delle password e a prevenire gli attacchi di forza bruta applicando politiche complesse in materia di password e bloccando gli account dopo un certo numero di tentativi di accesso falliti.

2. Policy di audit

Le policy di controllo sono importanti per Windows Containers perché forniscono una visibilità fondamentale sugli eventi di sicurezza, come i tentativi di accesso e l'uso dei privilegi, aiutando a rilevare accessi non autorizzati, monitorare l'attività degli utenti e garantire la conformità agli standard normativi. Anche nella natura effimera dei contenitori, i registri di controllo sono essenziali per l'indagine sugli incidenti, il rilevamento proattivo delle minacce e il mantenimento di un livello di sicurezza coerente in tutti gli ambienti containerizzati.

Monitoraggio della sicurezza e conformità:

Indagine sugli incidenti:

Coerenza tra gli ambienti:

Monitoraggio delle operazioni privilegiate:

Rilevamento di tentativi di accesso non autorizzati:

Sicurezza persistente anche in ambienti effimeri:

Registrazione centralizzata:

File Docker:

# Configure audit policies for logging security events
RUN powershell -Command \
    "Write-Host 'Configuring Audit Policy..'; \
    Set-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa' -Name 'SCENoApplyLegacyAuditPolicy' -Value 0; \
    auditpol /set /category:"Logon/Logoff" /subcategory:"Logon" /failure:enable

# Creates STDOUT on Windows Containers (check GitHub LogMonitor:: https://github.com/microsoft/windows-container-tools/blob/main/LogMonitor/README.md)
COPY LogMonitor.exe LogMonitorConfig.json 'C:\\LogMonitor\\'
WORKDIR /LogMonitor

Spiegazione:

Questa sezione configura le politiche di controllo utilizzando le modifiche del registro. Le politiche di controllo controllano quali eventi di sicurezza vengono registrati da Windows, il che aiuta a monitorare e rilevare i tentativi di accesso non autorizzati.

Queste politiche di audit sono fondamentali per il monitoraggio e la conformità della sicurezza, in quanto forniscono registri dettagliati di importanti eventi di sicurezza, come i tentativi di accesso e l'uso di operazioni privilegiate.

3. Procedure consigliate di sicurezza IIS per i contenitori Windows

L'implementazione delle best practice IIS nei contenitori Windows è importante per diversi motivi, in quanto garantisce che le applicazioni siano sicure, ad alte prestazioni e scalabili. Sebbene i contenitori offrano isolamento e un ambiente leggero, richiedono comunque una configurazione adeguata per evitare vulnerabilità e problemi operativi. Ecco perché è fondamentale seguire le best practice per IIS in Windows Containers:

Sicurezza

Prestazioni

Scalabilità e manutenibilità

Conformità

Riduzione al minimo dei rischi negli ambienti condivisi

Resilienza in ambienti effimeri

Dockerfile:

# Enforce HTTPS (disable HTTP) -- Only if container is target for SSL termination
RUN powershell -Command \
    "$httpBinding = Get-WebBinding -Name 'Default Web Site' -Protocol http | Where-Object { $_.bindingInformation -eq '*:80:' }; \
    if ($httpBinding) { Remove-WebBinding -Name 'Default Web Site' -Protocol http -Port 80; } \
    $httpsBinding = Get-WebBinding -Name 'Default Web Site' -Protocol https | Where-Object { $_.bindingInformation -eq '*:443:' }; \
    if (-not $httpsBinding) { New-WebBinding -Name 'Default Web Site' -Protocol https -Port 443 -IPAddress '*'; }"

# Use secure headers
RUN powershell -Command \
    "Write-Host 'Adding security headers...'; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter 'system.applicationHost/sites/siteDefaults/logFile/customFields' -name "." -value @{logFieldName='X-Forwarded-For';sourceName='X-Forwarded-For';sourceType='RequestHeader'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='Strict-Transport-Security';value='max-age=31536000; includeSubDomains'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-Content-Type-Options';value='nosniff'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-XSS-Protection';value='1; mode=block'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-Frame-Options';value='DENY'};"

# Disable IIS version disclosure
RUN powershell -Command \
    "Write-Host 'Disabling IIS version disclosure...'; \
    Import-Module WebAdministration; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/security/requestFiltering" -name "removeServerHeader" -value "true";"

# Set IIS Logging Best Practices
RUN powershell -Command \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/directoryBrowse" -name "enabled" -value "false"; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpErrors" -name "existingResponse" -value "PassThrough"; \

# Enable IIS dynamic and static compression to optimize performance
RUN powershell -Command \
    "Write-Host 'Enabling IIS compression...'; \
    Enable-WindowsOptionalFeature -Online -FeatureName IIS-HttpCompressionDynamic; \
    Import-Module WebAdministration; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/urlCompression" -name "doDynamicCompression" -value "true"; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/urlCompression" -name "doStaticCompression" -value "true"

# Ensure proper folder permissions using PowerShell's Set-Acl

RUN powershell -Command \
    "Write-Host 'Setting folder permissions for IIS...'; \
    $path = 'C:\\inetpub\\wwwroot'; \
    $acl = Get-Acl $path; \
    $iusr = New-Object System.Security.Principal.NTAccount('IIS_IUSRS'); \
    $rule = New-Object System.Security.AccessControl.FileSystemAccessRule($iusr, 'ReadAndExecute', 'ContainerInherit, ObjectInherit', 'None', 'Allow'); \
    $acl.SetAccessRule($rule); \
    $users = New-Object System.Security.Principal.NTAccount('Users'); \
    $rule2 = New-Object System.Security.AccessControl.FileSystemAccessRule($users, 'ReadAndExecute', 'ContainerInherit, ObjectInherit', 'None', 'Allow'); \
    $acl.SetAccessRule($rule2); \
    Set-Acl -Path $path -AclObject $acl"

Spiegazione:

Questo comando configura IIS per registrare l' X-Forwarded-For intestazione, che viene comunemente utilizzata per acquisire l'indirizzo IP del client originale quando una richiesta passa attraverso un proxy o un load balancer. Per impostazione predefinita, IIS registra solo l'indirizzo IP del load balancer o del reverse proxy, pertanto l'aggiunta di questo campo di registro personalizzato consente di tracciare il vero IP del client per il controllo della sicurezza, l'analisi e la risoluzione dei problemi.

Seguire le best practice di IIS in Windows Containers garantisce che le applicazioni containerizzate siano sicure, ad alte prestazioni e scalabili. Queste pratiche aiutano a prevenire le vulnerabilità, ottimizzare l'utilizzo delle risorse, garantire la conformità e mantenere la coerenza tra le istanze dei container. Anche se i container sono progettati per essere isolati, è necessaria una configurazione corretta per ridurre al minimo i rischi e garantire l'affidabilità dell'applicazione negli ambienti di produzione.

4. Principio del privilegio minimo

Il Principle of Least Privilege (PoLP) è fondamentale per i contenitori Windows per diversi importanti motivi, in particolare per migliorare la sicurezza e ridurre al minimo i rischi negli ambienti containerizzati. Questo principio impone che un sistema o un'applicazione funzionino con il livello minimo di autorizzazioni necessario per funzionare correttamente. Ecco perché è importante nei contenitori Windows:

Riduzione al minimo della superficie di attacco

Limitare l'impatto dei contenitori compromessi

Protezione in ambienti multitenant

Mitigazione dell'escalation dei privilegi

Conformità e audit

Riduzione del rischio di errori di configurazione

Migliore postura di sicurezza dei container

File Docker:

# Strongly recommended that when deploying a Windows server container to any multi-tenant environment that your application runs via the ContainerUser account
USER ContainerUser

Spiegazione:

In questa sezione, il ContainerUser comando USER specifica che l'applicazione all'interno del contenitore di Windows deve essere eseguita con l' ContainerUser account anziché con l'account Administrator predefinito.

Ecco perché è importante, specialmente in un ambiente multitenant:

Il ContainerUser comando USER garantisce che l'applicazione venga eseguita con privilegi minimi, migliorando la sicurezza negli ambienti multitenant limitando i danni che potrebbero verificarsi se il contenitore fosse compromesso. Questa è una procedura consigliata per prevenire accessi non autorizzati o escalation dei privilegi in un ambiente containerizzato.

Il principio del privilegio minimo è essenziale per i contenitori Windows perché limita il potenziale impatto delle violazioni della sicurezza, riduce la superficie di attacco e impedisce l'accesso non autorizzato ai componenti critici del sistema. Eseguendo applicazioni containerizzate con solo le autorizzazioni necessarie, le organizzazioni possono migliorare in modo significativo la sicurezza e la stabilità dei propri ambienti container, in particolare nelle infrastrutture multitenant e condivise.

Considerazioni finali: perché proteggere i contenitori Windows è una minaccia nel panorama delle minacce odierno Must-Have

Nel mondo digitale in rapida evoluzione di oggi, in cui le minacce stanno diventando sempre più sofisticate e abbondanti, proteggere i contenitori Windows non è solo una raccomandazione, è una necessità assoluta. I container offrono un modo leggero e flessibile per impacchettare e distribuire le applicazioni, ma non sono immuni dalle vulnerabilità di sicurezza. Man mano che sempre più aziende adottano i container per semplificare la propria infrastruttura, se non sono adeguatamente protetti, diventano anche un potenziale bersaglio di attacchi informatici.

Internet è invaso da varie minacce, che vanno dai malintenzionati che prendono di mira vulnerabilità prive di patch ai bot automatici che scansionano le configurazioni errate. Senza le giuste misure di sicurezza, i container possono essere sfruttati per esporre dati sensibili, aumentare i privilegi o fungere da punti di ingresso per attacchi che possono compromettere l'infrastruttura in generale. Ciò rende la sicurezza dei container fondamentale quanto la protezione di qualsiasi altra parte dell'ambiente.

Quando si utilizzano i contenitori Windows, si applicano ancora molte best practice di sicurezza tradizionali. L'implementazione di solide policy relative agli account, la protezione delle configurazioni IIS, l'applicazione di HTTPS, l'utilizzo di rigide regole firewall e l'applicazione dei privilegi minimi di accesso ai file critici sono tutte misure chiave che garantiscono la resilienza del contenitore agli attacchi. Inoltre, il controllo e la registrazione regolari forniscono visibilità su ciò che accade all'interno del contenitore, consentendo di individuare attività sospette prima che si trasformino in un incidente conclamato.

La protezione dei contenitori Windows è inoltre in linea con i requisiti normativi che impongono la protezione dei dati sensibili e la garanzia dell'integrità delle applicazioni. Man mano che le architetture cloud-native e containerizzate diventano sempre più diffuse, garantire la sicurezza a tutti i livelli, dall'immagine di base al container in esecuzione, contribuirà a salvaguardare le operazioni e a mantenere la fiducia dei clienti.

In sintesi, l'aumento delle applicazioni containerizzate, unito al crescente numero di minacce informatiche, rende la sicurezza dei container un aspetto non negoziabile della moderna gestione dell'infrastruttura. Aderendo alle migliori pratiche e monitorando continuamente le vulnerabilità, le aziende possono sfruttare l'agilità e l'efficienza dei contenitori Windows senza compromettere la sicurezza. In questo ambiente ricco di minacce, proteggere i contenitori Windows non è solo un'opzione, è un must.